コンテンツにスキップ

BadUSB

出典: フリー百科事典『ウィキペディア（Wikipedia）』
USBメモリの内部。2番はマイクロコントローラである。ファームウェアが書き込まれている。

BadUSBは、悪意のあるソフトウェアが仕組まれているUSBデバイスを用いたコンピュータセキュリティ攻撃である[1][2] 。マウスやキーボード、ヘッドホン、ディスプレイ、USBハブ、USBメモリ、OMGケーブルなど、USBポートに接続する機器からサイバー攻撃をする[3][4][5]。USB Type-CがHDMIに対応しているため、HDMIからも攻撃できる[4]。

マウスやキーボードなどHIDのなりすましによるキーインジェクションやディスプレイのミラーリング、カメラからの映像の撮影、QRコードによる決済ができ、対象デバイスを完全に攻撃者のコントロール下に置くことができる[4]。パソコンだけではなく、AndroidやiPhoneなどスマートフォンに対しても攻撃可能である[6]。代表的な攻撃方法として、Rubber Duckyやスタックスネット、Flipper Zero（英語版）が存在する[7][6]。 一般的に、オフライン環境の場合はサイバー攻撃できないとされているが、オフライン環境であっても攻撃が可能である[7]。APT攻撃にも使用される[7]。

USBポートにUSBデバイスを挿さずに攻撃することのできる、ワイヤレスBadUSBも存在する[8]。キーボードになりすまして無線接続して、悪意のあるコードを実行させる。

歴史

[編集]

2014年8月に行われたセキュリティイベント「ブラックハット USA 2014」にて、研究家のカルステン・ノール（英語版）、ヤコブ・レルらによってこの攻撃方法が明らかにされた。この攻撃は「BadUSB」と名付けられ、実際にデモを行ってみせた[9]。ノールはこの危険性をUSB機器を製造するメーカーに伝えているが、今のところ対応を予定しているメーカーはないという[10]。またUSBの普及率の高さを鑑み[11]、具体的な攻撃コードは公表しなかった[12]。

対応の難しい強力な攻撃ができることについて、ノールは「これはシンプルさとセキュリティのジレンマです。 USBの最大の魅力は、ただ差し込むだけで簡単に使えることです。ですが、このシンプルさがまさにこの攻撃を可能にしてしまっているのです」と述べている[13]。

講演の2か月後、別のセキュリティ研究者2名がこの脆弱性を悪用するためのコードをソフトウエア開発プロジェクトホスティングサイトの「GitHub」にて公開した[9][14]。2人はコードを公開した理由を「USBハードウェアメーカーにプレッシャーをかけるため」としている[11]。

2015年、ロシアのセキュリティ研究家ダーク・パープルが「USBキラー」というマルウェアを開発した。これは220ボルトの負電荷をUSBポートの信号線に送信することで、数秒でマザーボードが焼き付き破壊されるというものだった[15]。

2016年4月、ドイツの核施設でスタクスネットというマルウェアを含んだUSBメモリが18本発見された[16]

2022年1月6日、FBIはマルウェアが仕込まれたUSBメモリが、貨物・保険・防衛産業の企業を中心に郵送で送られてくるという事態が発生しているとして警告を行った[17][18]。

攻撃の機構

[編集]

ファームウェアの改ざん

[編集]

USB機器には、プログラム可能なマイクロコントローラーが搭載されている[19]。 つまりUSBデバイスはそれぞれが小型コンピューターでもあり、その動作は「ファームウェア」というプログラムで定義されている[20]。これを書き換えることで様々なことができてしまうが、基本的にどのUSB機器もこの攻撃を防ぐことはできない[21]。それはUSBの規格でファームウエアがユーザーの同意なしに書き換えできるためである[20]。これはUSBからPCだけではなく、逆にPCからUSBにも感染できる事も意味し、PC接続に接続されているUSBデバイスにも感染を広げられる[10]。このような仕様はUSBの最大の特長である多用途性を意識したもので[12]、書き換え不能にしてしまうと正規のファームウェアのアップデートも行うことが出来なくなってしまう[22]。

ファームウェアはPCのセキュリティソフトではスキャンすることができない[20][7] [21]。こうしたマルウェアはUSBのコントローラーに埋め込まれており、一般的なアンチウイルス製品がスキャンする層よりもさらに深い層にいるため、検知することができない[23]。カスペルスキーは｢一般的なアンチウイルス製品はシステムをハードウェアレベルでスキャンしないため、OSに対する攻撃よりもハードウェアに対する攻撃の方が恐ろしさは上｣としている[23]。

ネットワークカードのなりすましによるDNSハイジャック

[編集]

ネットワークカードになりすまして通信の傍受ができる[24]。また、被害者のデバイスがDNSの問い合わせをしたときにDNSプロキシサーバとして攻撃者のDNSサーバへリダイレクトすることで、悪意のある偽サイトやフィッシングサイトへリダイレクトすることもできる（DNSハイジャック）[24][25]。

バーチャルマシン環境からの脱出

[編集]

バーチャルマシン環境から抜け出してホストのPCのOSに対して攻撃することもできる[24]。バーチャルマシンに接続されたUSBデバイスのファームウェアを悪意のあるファームウェアにアップデートして、悪意のあるHIDデバイスかネットワークカードをUSBデバイスの中に作り出す。この時、元から存在した通常のUSBデバイスも残される。通常のUSBデバイスがバーチャルマシンに接続したまま、生み出された悪意のあるUSBデバイスはホストのPCと接続して、ホストのOSに対して攻撃することができる[24]。

ブートインジェクション

[編集]

USBデバイスに、ブート起動できる隠された悪意のあるセクターを作成する[24]。USBデバイスのファームウェアをアップデートして、接続したPCに偽の情報を表示させ、ブート起動する隠されたセクターの情報を表示させないように改ざんする[24]。USBデバイスが嘘の情報をPCに伝えるため、PCのユーザーには隠されたセクターは表示されない。PCが起動したときにBIOSが悪意のあるブートセクターを読み込んでしまい、マルウェアに感染してしまう[24]。

HID（ヒューマン・インターフェース・デバイス）の擬装によるキーインジェクション（Rubber Ducky）

[編集]

PCにUSBデバイスを接続すると、電力供給を受けたUSBコントローラが起動し、プログラムを読み出して実行する[9]。悪意ある挙動であっても、正規のユーザーの操作として認識されるため、振る舞いベースの防御手法でも防ぐことはできない[12]。 例えば送られてきたのがUSBフラッシュドライブ（USBメモリ）だった場合でも、これらはHID（ヒューマン・インタフェース・デバイス）に偽装されているため、接続されたPCはUSBデバイスをHIDと認識してしまい、｢USBの自動実行機能（Auto Run）｣をオフにしていても動作してしまう[18][7][2]。 2025年の報告では、Avast PremiumがBadUSBによるキーインジェクションの検出に成功したとしている[8]。

HIDになりすましたUSBデバイスは、キーインジェクションにより悪意のあるコードをPCに実行させる[7][3]。 キーインジェクションは、WindowsやLinux、MacOSなど様々なOSに対して使用することができる[26]。 Windowsに対するキーインジェクションをした後にLinuxのキーインジェクションを実行するなど、一つのUSBデバイスで複数のOSに対して攻撃することも可能である[26]。 攻撃の一例として、Windowsに対するキーインジェクションでは、｢ウインドウズボタン｣+｢R｣のショートカットキーでRunダイアログボックスを呼び出し、Runダイアログボックスからcmd.exeやPowerShellを呼び出す[27]。起動したcmd.exeやPowerShellに悪意のあるコマンドを打ち込み、実行させる。このとき、被害者のWindows PCではRunダイアログボックスやcmd.exeが一瞬だけ表示されて、攻撃が発覚する場合もある[27]。

無線接続のUSBキーボードになりすましてPCに接続して、悪意のあるコードをキーインジェクションする｢ワイヤレスBadUSB｣も存在する[8]。

USBデバイスの内部を改造する

[編集]

USBデバイスの内部に攻撃用のマイクロチップを組み込んで改造し、攻撃に用いる[5][28]。カフェの充電用USBポートを改造して、充電のために接続したモバイル機器を攻撃するJuice jacking（英語版）という攻撃方法が存在する。

防御策

[編集]

USBの自動実行機能（Auto Run）の無効化

[編集]

USBデバイスを接続したときに自動実行する機能（Auto Run）を用いる攻撃に対しては、Auto Runを無効化することで防ぐことができる（Windows はデフォルトでオフの設定）[7][2][8]。ワイヤレスBadUSBにも有効な対策となる[8]。ただし、HIDに擬装してキーインジェクションを行う攻撃は、前述のとおり防ぐことはできない[7]。

ホワイトリストの作成

[編集]

使用できるUSBデバイスをホワイトリストで制限することで、HIDの擬装によるキーインジェクション攻撃にも対応できる[7][29]。

実行権限の制限

[編集]

管理者権限でcmd.exeやPowerShellを実行できないように権限を制限することで、キーインジェクションによる悪意のあるコードの実行を阻止できる[3]。グループポリシーの制限も有効である[8]。ワイヤレスBadUSBにも有効な対策となる[8]。

ハードディスクを読み取り専用モードへ変更した後にUSBを接続してスキャンする

[編集]

USBデバイスを接続する前に、サーバ・PCのドライブを読み取り専用の設定に変えておく。USBデバイスを接続してスキャンするときに読み取り専用であれば、エクスプロイトを防ぎながらスキャンできる[29]。

USBポートを物理的に塞ぐ

[編集]

不要なUSBデバイスをUSBポートに接続できないようにする[30]。USBポートにUSBデバイスを接続するタイプの攻撃には有効である。USBポートにはめ込んでUSBポートへの接続を物理的に防ぐことのできる製品も存在する[30]。

スキャン用のハードウェア製品の使用

[編集]

サーバ・PCに接続する前に、USBスキャン用のハードウェア製品に接続する。USBの挙動を専用ハードウェアからスキャンして調べることにより、BadUSBを検知できる[31]。

EDR製品の使用

[編集]

エクスプロイトの後では、EDRによる振る舞い検知や多層防御が有効である[7][3][32][8]。ワイヤレスBadUSBに対しても有効な方法である[8]。

セキュリティ機能の搭載されたデバイス

[編集]

サーバ・PC製品の中にはセキュリティチップを搭載しファームウェアの改ざんを検出する製品も登場している[33]。 カスペルスキーは2016年7月にUSBデバイスのふるまいを自動追跡し、不審な振る舞いをするデバイスをブロックする技術を開発し、法人向けセキュリティ製品に実装した[23]。

2017年には、ニュージーランドの電子技術者Robert FiskはUSBアダプタ「USG」のバージョン1.0を開発。USBデバイスはこのUSGを仲介してPCに接続され、ファイアウォールのような役目を果たす[34]。ただこのドングルは、ローレベルでのUSBデバイスとPCとのやり取りを遮断し、不審な命令を実行させないことで安全性を確保しているだけで、ウイルスのスキャン機能は備わっていない。さらに1MB/s程度しか転送速度が出せず、大容量転送には向かないという欠点もある[35]。

パスワードロック機能やウイルス対策機能が搭載されているセキュリティ機能の搭載されているUSBデバイスも存在する[7]。ただし、セキュリティ企業Palo Alto Networksの報告によると、2018年6月に「Tick」と呼ばれるハッカーグループによるセキュアUSBの脆弱性を悪用するマルウェアが発見されており、イタチごっこが続いている[33]。

また過去の実例から攻撃者は既に悪意のあるプログラムが仕込まれたUSB機器を配布して攻撃してくることが多いため、差出人のはっきりしない郵便物、無料で配られたUSB機器、拾ったUSBメモリなどを不用意にPCに挿入しないのが最大の防御策となる[12][32]。

充電専用USBケーブルの使用（Juice jacking）

[編集]

無料の充電用USBポートで充電する場合には、充電専用USBケーブルを用いるとJuice jacking（英語版）攻撃を防ぐことができる[28]。充電専用USBケーブルにはデータの通信用のケーブルが内部に存在しないため、攻撃を受けない構造になっている。

攻撃の実例と学術研究

[編集]

不審なUSBを使用してしまう心理

[編集]

2008年、ロシアの工作員とみられる人物が、アフガニスタンに駐留している米軍基地の駐車場に「agent.btz」という悪意あるマルウェアが仕込まれたUSBを意図的に置いていった。するとロシア側の思惑通りに米軍関係者がそれを拾い、基地のPCに差し込んでしまった。そして感染したPCから機密情報などの内部情報が盗まれていた[17]。

2016年5月、Google・イリノイ大学・ミシガン大学の合同チームがセキュリティ研究のために、イリノイ大学のキャンパス内のあちこちに300本のUSBメモリを意図的にばらまいた。そして拾った大学生たちの何人がPCに挿入するかを調査した[16]。その結果、約半数の48％が配布されたUSBメモリを挿入し、中にあったファイルをクリックしていた。怪しんでウィルス対策ソフトでスキャンした学生はわずか16％に過ぎなかった[16]。

2018年6月12日に行われた米朝首脳会談のために集まった約3000人プレス関係者に配られたノベルティの中に入っていたUSBで給電できる扇風機について、あるジャーナリストが「暑いシンガポールではありがたい」とつぶやいたが、すぐに「安易につなぐべきではない」と注意が方々から行われた[33]。

この他、アメリカ国家安全保障局(NSA)がUSB接続ケーブルにマルウェアを埋め込むサイバー攻撃ツール「コットンマウスI」を開発していたことも内部資料から判明している[17]。

被害に遭う確率

[編集]

ZDNetの作者Catalin Cimpanuは、BadUSB攻撃に遭う確率は「非常にまれ」であると語っている。しかし2020年に、ホスピタリティプロバイダーが偽のギフトカードを使用した攻撃を受けたことが確認されている。この攻撃は、USBメモリにプログラムされたキー操作によってPowerShellコマンドが実行されマルウェアがPC上にダウンロードされてしまった[36]。

FIN7によるBadUSB攻撃

[編集]

2020年、ロシアのハッカー集団FIN7がアメリカの家電量販店を装い、USBメモリと偽のギフトカードを送りつけた。同封のメッセージにはUSBメモリにこのギフトカードで引き換えられる商品のリストが入っていると書かれていた[37]。標的の警戒心を解くためにテディベアなどのぬいぐるみが含まれていることもあった[38]。

2021年8月にアメリカの運輸業界と保険業界、11月には防衛企業にUSBメモリが郵送されてきた[18]。郵便物は2パターンあり、1つは保険福祉省を装ったもので「新型コロナ感染症対策のガイドライン」と書かれた手紙とUSBメモリが同封されている。もう1つは、Amazonのプレゼント用のパッケージで偽装され、感謝を記した手紙と、偽のギフトカード、そしてやはりUSBメモリが同封されていた[17][8]。これらのUSBメモリはUSB接続のHIDキーボードに偽装しており、侵入したシステムにマルウェアのペイロードをインストールするために、キーストロークの注入を開始する[17]。侵入者サイドの最終目標は、被害者のネットワークにアクセスし、Metasploit、Cobalt Strike、Carbanakマルウェア、Griffonバックドア、PowerShellスクリプトなど、さまざまなツールを使用して、侵入したネットワーク内にBlackMatterやREvilなどのランサムウェアを配備することである[38]。 これらの一連の攻撃を行ったのもFIN7だったと考えられている[37]。

脚注

[編集]
  1. ↑ Greenberg, Andy (July 31, 2014). “Why the Security of USB Is Fundamentally Broken”. Wired (アメリカ英語). ISSN 1059-1028. 2021年9月7日閲覧.
  2. 1 2 3 “マルウェア情報局”. キヤノンITソリューションズ. 2026年7月31日閲覧。
  3. 1 2 3 4 Nicho, Mathew; Sabry, Ibrahim (2023). “Bypassing Multiple Security Layers Using Malicious USB Human Interface Device”. Proceedings of the 9th International Conference on Information Systems Security and Privacy (ICISSP): 501-508. doi:10.5220/0011626200003392.
  4. 1 2 3 Lu, Haohuang; Wu, Yue; Li, Shuai; Lin, Ying; Zhang, Chao (2021-05). “BadUSB-C: Revisiting BadUSB with Type-C”. 2021 IEEE Symposium on Security and Privacy (SP): 903-918. doi:10.1109/SP40001.2021.00045.
  5. 1 2 “Investigating Malicious Hardware with Industrial CT”. Lumafield (2026年7月9日). 2026年7月13日閲覧。
  6. 1 2 Ntshangase, Sthembile; Nelufule, Norman; Mulihase, David; Mtshali, Mamello; Mokoena, Chantel; Moloi, Palesa (2024-09). “A Survey of Digital Forensic Tools for Android and iOS Smart Phones”. 2024 IEEE International Conference on Cyber Security and Resilience (CSR). doi:10.1109/CSR61664.2024.10679486.
  7. 1 2 3 4 5 6 7 8 9 10 11 “USBを悪用したサイバー攻撃を解説 ～AutoRun、BadUSB、Stuxnet～”. トレンドマイクロ (2026年7月2日). 2026年7月13日閲覧。
  8. 1 2 3 4 5 6 7 8 9 10 Saputra, I. M. W. B. (2025). “Implementation of Wireless BadUSB as an Automation Device to Perform Multi-step Attack Using P4wnP1 on Raspberry Pi Zero W”. 2025 9th International Conference On Electrical, Electronics And Information Engineering (ICEEIE): 1–6. doi:10.1109/ICEEIE66203.2025.11252326.
  9. 1 2 3 “ファームウエアを勝手に書き換える、USBの危険すぎる脆弱性「BadUSB」”. 日経コンピュータ (2014年11月10日). 2022年1月13日閲覧。
  10. 1 2 “USBデバイスに深刻な欠点、マルウエア拡散に悪用される可能性”. TECH+ (2014年8月1日). 2022年1月18日閲覧。
  11. 1 2 “USBに設計上の致命的な脆弱性が発見され、そのコードが公開される”. GIGAZINE (2014年10月6日). 2022年1月13日閲覧。
  12. 1 2 3 4 “脆弱性を衝かない攻撃BadUSB”. 三和コムテック (2014年10月24日). 2022年1月13日閲覧。
  13. ↑ Goodin (2014年7月31日). “This thumbdrive hacks computers. 'BadUSB' exploit makes devices turn 'evil'” (英語). Ars Technica. 2021年9月7日閲覧。
  14. ↑ Greenberg, Andy (October 2, 2014). “The Unpatchable Malware That Infects USBs Is Now on the Loose”. Wired (アメリカ英語). ISSN 1059-1028. 2021年9月7日閲覧.
  15. ↑ “New USB killer ‘destroys computer within seconds’”. welivesecurity (2015年10月14日). 2022年1月13日閲覧。
  16. 1 2 3 “USBメモリーとセキュリティの危うい関係”. キヤノン (2016年6月22日). 2022年1月13日閲覧。
  17. 1 2 3 4 5 “見知らぬUSBはどうすればいいのか　会社のPCに差し込んではいけないワケ”. ITmedia ビジネスオンライン (2022年1月13日). 2022年1月13日閲覧。
  18. 1 2 3 “身に覚えのないUSBメモリに注意、挿すだけでサイバー攻撃受ける恐れ”. マイナビニュースマイナビニュース (2022年1月13日). 2022年1月13日閲覧。
  19. ↑ Nohl. “BadUSB - On accessories that turn evil”. 2016年10月19日時点のオリジナルよりアーカイブ。2022年1月13日閲覧。
  20. 1 2 3 “3分でわかる「BadUSB」”. 日経XTECH (2015年1月28日). 2022年1月13日閲覧。
  21. 1 2 “BadUSBとは？身近に潜む脅威と対処方法”. ALSOK (2025年7月31日). 2026年7月13日閲覧。
  22. ↑ “[Black Hat USA 2014 レポートファームウェア書き換えでUSBに機能追加]”. ScanNetSecurity (2014年8月11日). 2022年1月18日閲覧。
  23. 1 2 3 “Kaspersky Lab流BadUSB対策”. カスペルスキー (2016年7月20日). 2022年1月13日閲覧。
  24. 1 2 3 4 5 6 7 “Слайды доклада BadUSB” (2014年8月). 2014年8月8日時点のオリジナルよりアーカイブ。2014年12月10日閲覧。
  25. ↑ Suzaki, K.; Hori, Y.; Kobara, K.; Mannan, M. (2019). “DeviceVeil: Robust Authentication for Individual USB Devices Using Physical Unclonable Functions”. 2019 49th Annual IEEE/IFIP International Conference on Dependable Systems and Networks (DSN) (IEEE): 302-314. doi:10.1109/DSN.2019.00041 2026年8月2日閲覧。.
  26. 1 2 R, Subramanian; S, Udhayakumar (2026). “A Defensive Mechanism Against Rubber Ducky Devices and Keystroke Injection Attacks”. 2026 IEEE International Conference on Interdisciplinary Approaches in Technology and Management for Social Innovation (IATMSI): 1–6. doi:10.1109/IATMSI68868.2026.11465244.
  27. 1 2 Witte, T. N. (2020). “Phantom Malware: Conceal Malicious Actions From Malware Detection Techniques by Imitating User Activity”. IEEE Access 8: 164428–164452. doi:10.1109/ACCESS.2020.3021743.
  28. 1 2 Krebs, Brian (2023年4月14日). “Why is 'Juice Jacking' Suddenly Back in the News?”. Krebs on Security. 2026年7月13日閲覧。
  29. 1 2 Team Shieldworkz (2026年6月15日). “BadUSB, USB Baiting, and Firmware Manipulation: The Evolving Removable Media Threat Landscape for ICS in 2026” (英語). Shieldworkz. OThello. 2026年7月15日閲覧。
  30. 1 2 Karystinos, E.; Andreatos, A.; Douligeris, C. (2019). “Spyduino: Arduino as a HID Exploiting the BadUSB Vulnerability”. 2019 15th International Conference on Distributed Computing in Sensor Systems (DCOSS): 279–283. doi:10.1109/DCOSS.2019.00066.
  31. ↑ “What Is a BadUSB Attack” (英語). Tyrex (2026年5月20日). 2026年7月15日閲覧。
  32. 1 2 “USBキラー？USBメモリー利用時のリスクと安全な利用方法を考える”. キヤノン (2021年6月3日). 2022年1月13日閲覧。
  33. 1 2 3 “小さな親切、大きなお世話？ 無償で配られるUSBデバイスやメモリのリスク”. ITmedia NEWS (2018年6月29日). 2022年1月13日閲覧。
  34. ↑ Doctorow (2017年3月2日). “USG: an open source anti-BadUSB hardware firewall for your USB port” (英語). Boing Boing. 2021年9月7日閲覧。
  35. ↑ “悪意あるソフトが潜むUSBメモリからPCを守る自作可能なUSBアダプタ”. PC Watch (2017年3月13日). 2022年1月13日閲覧。
  36. ↑ Cimpanu (2020年3月26日). “Rare BadUSB attack detected in the wild against US hospitality provider” (英語). ZDNet. 2021年9月7日閲覧。
  37. 1 2 “USBメモリーを標的に送りつけて攻撃--挿入されたPCにランサムウェアをインストール”. ZDNet Japan (2022年1月11日). 2022年1月13日閲覧。
  38. 1 2 “FBI: Hackers use BadUSB to target defense firms with ransomware”. Bleeping Computer (2022年1月7日). 2022年1月13日閲覧。
「https://ja.wikipedia.org/w/index.php?title=BadUSB&oldid=110551942」から取得